SBOM y modelado de amenazas para productos sanitarios
Sytance · Actualizado
Una SBOM y un modelo de amenazas responden a preguntas distintas. La SBOM identifica los componentes de software y las relaciones de dependencia. El modelo de amenazas explica cómo puede atacarse un producto sanitario, un sistema de software, un usuario, un entorno o una vía de actualización, y cómo podría afectar ese ataque a la seguridad, el rendimiento o la protección.
Registros distintos
La vulnerabilidad de un componente se convierte en una cuestión específica del producto sanitario cuando se conoce la función del componente. Un analizador de red puede recibir directamente entradas no fiables; la misma biblioteca, compilada sin la función afectada, puede presentar una exposición diferente. La SBOM identifica el componente y el modelo de amenazas aporta la arquitectura necesaria para analizar esa diferencia.
La NTIA define una SBOM como un inventario legible por máquina de los componentes de software y sus relaciones. Para evaluar un producto sanitario, esto ayuda a determinar qué software está presente y dónde buscar información de proveedores o vulnerabilidades.
SBOM
Registra nombres de componentes, proveedores, versiones, identificadores, hashes, dependencias e información de autoría, para que el fabricante y el cliente puedan hacer seguimiento de la exposición de los componentes y de la situación del soporte.
Modelo de amenazas
Registra activos, actores, límites de confianza, flujos de datos, interfaces, vías de ataque, amenazas, medidas de mitigación, hipótesis y decisiones sobre el riesgo residual.
Arquitectura de seguridad
Muestra cómo se distribuyen por el sistema y los servicios relacionados los controles, como la autenticación, la autorización, el cifrado, el registro, la protección de las actualizaciones y la recuperación.
Gestión de riesgos
Determina si el riesgo restante es aceptable y cómo afectan los hallazgos de ciberseguridad a la seguridad, el rendimiento, el etiquetado, la vigilancia poscomercialización y la corrección.
Relación con la fase precomercialización
La guía precomercialización vigente de la FDA espera que la SBOM, el modelado de amenazas, la evaluación de riesgos de ciberseguridad, la arquitectura y las pruebas funcionen conjuntamente. Para un producto sanitario cibernético sujeto a la sección 524B, la SBOM es un elemento de presentación exigido por ley y debe incluir componentes de software comerciales, de código abierto y disponibles en el mercado.
- El modelo de amenazas debe abarcar el sistema del producto sanitario, las entidades externas, la implementación, la interoperabilidad, el mantenimiento, las actualizaciones, las hipótesis sobre la cadena de suministro y la retirada del servicio.
- La SBOM debe incluir componentes desarrollados por el fabricante y de terceros, dependencias ascendentes, la situación del soporte y la información necesaria para evaluar vulnerabilidades conocidas.
- Las vistas de arquitectura deben explicar las interfaces, los protocolos, los límites de confianza, los usuarios, los controles, los sistemas relacionados y las vías de actualización.
- Las pruebas deben demostrar que los controles de seguridad y las medidas de mitigación de amenazas seleccionados funcionan, incluidas las pruebas de vulnerabilidades y de penetración cuando sean pertinentes.
Una entrada de la SBOM debe poder vincularse con el lugar que ocupa el componente en la arquitectura y con el análisis de vulnerabilidades pertinente. Esos vínculos conectan el inventario con el modelado de amenazas, las pruebas, el etiquetado y la gestión poscomercialización.
Relación con la fase poscomercialización
Tras la comercialización, la SBOM y el modelo de amenazas pasan a ser registros operativos. La SBOM ayuda a identificar exposiciones cuando cambia un proveedor, un paquete de código abierto, un componente comercial o una dependencia del sistema operativo. El modelo de amenazas ayuda a determinar si esa exposición puede causar daños a pacientes en la arquitectura y el entorno de uso reales del producto sanitario.
Compruebe si la versión y el código afectados están presentes en el producto sanitario y, a continuación, determine cómo podría llegar hasta ellos un atacante. Evalúe los controles existentes y los posibles daños a pacientes. El resultado se aplica a las configuraciones analizadas; las demás versiones que sigan en uso pueden requerir una evaluación aparte.
El modelo de amenazas debe actualizarse cuando una nueva vulnerabilidad, una nueva técnica de ataque, un cambio en las hipótesis de implementación, una nueva interfaz o un nuevo servicio en la nube, o una modificación de la vía de actualización alteren el panorama de riesgos.
Vulnerability Exploitability eXchange (VEX) comunica una evaluación del impacto de una vulnerabilidad identificada en un producto concreto. Indique las versiones y configuraciones cubiertas y explique las condiciones que debe mantener el destinatario. Si se necesita una corrección, indique la actualización u otra medida disponible para el usuario.
Mantenimiento de registros útiles
La SBOM y el modelo de amenazas deben identificar la versión del producto que describen y mantenerse actualizados tras su comercialización. La SBOM también debe utilizar un formato legible por máquina. Ambos registros deben estar vinculados al expediente de gestión de riesgos.
La línea de base de la NTIA de 2021 identifica elementos de datos como el nombre del proveedor, el nombre del componente, la cadena de versión, el identificador del componente, la relación de dependencia, el nombre del autor y la marca de tiempo. La FDA añade expectativas específicas para productos sanitarios, como la situación del soporte del software, las vulnerabilidades conocidas y la relación con los controles de riesgo del producto.
El modelo debe explicar cómo podría llegar un atacante a una función del producto sanitario y qué protección impide o limita esa acción. Describa el producto y los sistemas conectados y, después, vincule cada escenario de ataque con sus condiciones, los controles seleccionados y el riesgo restante.
- Un dispositivo sin conexión puede recibir entradas maliciosas a través de una interfaz de actualización o mantenimiento. Incluya esas vías en el modelo de amenazas.
- Una SBOM sin CVE críticas conocidas dice poco sobre defectos de diseño o controles de acceso ausentes. Evalúe esas amenazas teniendo en cuenta la arquitectura.
- Un informe de pruebas de penetración solo es aplicable al alcance y la configuración que especifica. Utilice sus resultados junto con el análisis del diseño y los controles de mantenimiento previstos.
- Si la protección depende de la red del cliente, especifique los controles necesarios y compruebe que abordan la amenaza. Comunique las condiciones que el cliente debe mantener.